fr1: вебхук Маруси — vhost astra.ruzzy.dev и пользователь туннеля marusia-tunnel

- nginx: vhost astra.ruzzy.dev (LE), только POST /marusia/webhook/ → 127.0.0.1:18788,
  limit_req 1r/s, 64k, без access log, error_log crit (секрет в пути); ссылка zz-,
  чтобы не перехватить ответ на неизвестный SNI у git
- sshd: Match User marusia-tunnel — только remote forward 127.0.0.1:18788;
  добавлен в AllowUsers
- живые конфиги fr1 в stacks/astra-marusia/ вместо nginx-location.example
- fr1.md: эффективные настройки sshd проверены под root, отпечатки host-ключей
- туннель ещё не поднят, интеграция не завершена (хвост в fr1.md)

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

servers/fr1.md

@@ -15,10 +15,11 @@
 - ⚠️ **Группа `docker` = root-эквивалент.** `docker:x:988:rus,tgclaude` — любой её член монтирует `/` в контейнер и делает что угодно от рута (этим же способом чистились root-овы файлы 2026-09-08). Поэтому «у `tgclaude` нет sudo» **не** означает ограничения прав на хосте.
 - Вход с Mac: `ssh rus-161` (алиас в `~/.ssh/config`) → ключ `~/.ssh/id_161_97_93_252` (ed25519).
 - root-доступ по SSH закрыт; для root изнутри — `sudo -i`.
+- Пользователь `marusia-tunnel` (uid 1002, с 2026-10-11) — **только обратный SSH-туннель** от rpi для вебхука Маруси (`stacks/astra-marusia/`). Shell `/usr/sbin/nologin`, пароль заблокирован, групп кроме своей нет. `~/.ssh/authorized_keys` принадлежит root (сам пользователь его не поменяет), ключ с `restrict,port-forwarding,permitlisten="127.0.0.1:18788"`. Ограничения продублированы в sshd: `/etc/ssh/sshd_config.d/70-marusia-tunnel.conf` (`Match User`: `AllowTcpForwarding remote`, `PermitListen 127.0.0.1:18788`, `PermitOpen none`, `PermitTTY no`, `MaxSessions 0`, только publickey).
 - **Пуш-ключ `metrics-push@rpi`** (с 2026-10-11) в `~rus/.ssh/authorized_keys` с `restrict,command="/home/rus/bin/pushgw-ingest rpi"`: этим ключом домашняя малина может только залить метрики в pushgateway — шелла, форвардинга и pty нет. Бэкап прежнего файла — `~/.ssh/authorized_keys.bak-20261011`.
 
 ## SSH (`/etc/ssh/sshd_config.d/00-hardening.conf`)
-⚠️ В основном `/etc/ssh/sshd_config` строкой 42 стоит `PermitRootLogin yes` (правка шаблона Contabo). Побеждает всё равно дроп-ин: `Include /etc/ssh/sshd_config.d/*.conf` стоит строкой 12, а sshd берёт **первое** встреченное значение. То есть root-вход закрыт, но держится на порядке строк — уберёшь дроп-ин, и root-вход по ключу включится. ⏳ Рядом лежит `50-cloud-init.conf`, который из-под `rus` не читается: под root стоит проверить `sshd -T | grep -i permitrootlogin`.
+⚠️ В основном `/etc/ssh/sshd_config` строкой 42 стоит `PermitRootLogin yes` (правка шаблона Contabo). Побеждает всё равно дроп-ин: `Include /etc/ssh/sshd_config.d/*.conf` стоит строкой 12, а sshd берёт **первое** встреченное значение. То есть root-вход закрыт, но держится на порядке строк — уберёшь дроп-ин, и root-вход по ключу включится. Рядом лежит `50-cloud-init.conf` (root 600) — эффективные значения проверены под root 2026-10-11, см. ниже.
 
 ```
 PermitRootLogin no
@@ -27,9 +28,12 @@ PubkeyAuthentication yes
 KbdInteractiveAuthentication no
 ChallengeResponseAuthentication no
 MaxAuthTries 3
-AllowUsers rus tgclaude
+AllowUsers rus tgclaude marusia-tunnel
 ```
-Через socket-activation (`ssh.socket`).
+Через socket-activation (`ssh.socket`), слушает `0.0.0.0:22` и `[::]:22`.
+- `marusia-tunnel` дописан в `AllowUsers` 2026-10-11 (было `rus tgclaude`), бэкап — `00-hardening.conf.bak-20261011-171345`. ⚠️ Новому пользователю SSH нужен и здесь: без строки в `AllowUsers` sshd отказывает молча, клиент видит просто `Permission denied`.
+- Проверено под root 2026-10-11: `50-cloud-init.conf` содержит `PasswordAuthentication yes`, но эффективное значение — `no` (`00-hardening` читается первым); `sshd -T` → `permitrootlogin no`, `passwordauthentication no`. ⚠️ То же «держится на порядке файлов»: переименуй `00-hardening` во что-то после `50-`, и вход по паролю включится.
+- Отпечатки host-ключей: ED25519 `SHA256:M5J9nH+svyA3+beD7ZllUn1tayMMO2cxw/t3Z/kj6KU`, ECDSA `SHA256:fMZEytu7XI3W+Mzo4WQ6WZHDn0nYiagtbKb4JyUIX5w`, RSA `SHA256:53olW/dhoPclFgp8X6OWh0euoOfSmwXWZb6c026OGAw`.
 
 ## Сеть
 - Управляется **netplan → systemd-networkd**, конфиг `/etc/netplan/50-cloud-init.yaml` (наследие cloud-init, сейчас просто статический файл).
@@ -101,8 +105,11 @@ backend=systemd  banaction=ufw
 - nginx 1.24 (apt) + certbot 2.9 (`python3-certbot-nginx`), автопродление через systemd-таймер certbot.
 - vhost `/etc/nginx/sites-available/mon.ruzzy.dev.conf` → проксирует на Grafana (`127.0.0.1:3000`), HTTPS-редирект, websocket.
 - vhost'ы `share.ruzzy.dev.conf` и `www.ruzzy.dev.conf` — статика с **общим** корнем `/var/www/share.ruzzy.dev` (`autoindex off`, `try_files $uri =404`, `server_tokens off`), у каждого свой сертификат. Используется для раздачи клиентских конфигов OpenVPN — сейчас там `marina-de.ovpn`, `masha-de.ovpn`.
-- vhost `default` — catch-all `server_name _`, `listen 80 default_server`, отдаёт дефолтную страницу `/var/www/html/index.nginx-debian.html`. На `:443` `default_server` **не задан**, поэтому TLS-запрос с неизвестным SNI попадает на первый по алфавиту vhost (`git.ruzzy.dev`) и получает его сертификат.
+- vhost `default` — catch-all `server_name _`, `listen 80 default_server`, отдаёт дефолтную страницу `/var/www/html/index.nginx-debian.html`. На `:443` `default_server` **не задан**, поэтому TLS-запрос с неизвестным SNI попадает на первый по алфавиту vhost (`git.ruzzy.dev`) и получает его сертификат. Так отвечают и `https://ruzzy.dev`, и `https://fr1.ruzzy.dev` — своих vhost'ов и сертификатов у них нет, браузер видит несовпадение имени (проверено 2026-10-11).
-- Сертификаты LE: `mon`, `git`, `share`, `www`. `cam.ruzzy.dev` удалён 2026-09-08 вместе с ipcam.
+- vhost `astra.ruzzy.dev` (с 2026-10-11) — вебхук Маруси для разговорного сервиса на rpi, конфиг в репо `stacks/astra-marusia/`. Только `POST /marusia/webhook/…` → `127.0.0.1:18788/webhook/…` (SSH-туннель от rpi, см. пользователя `marusia-tunnel`), остальное — 404. Зона `limit_req` `marusia_webhook` в `/etc/nginx/conf.d/marusia-webhook.conf` (1 r/s, burst 5, 429); тело до 64k, таймауты 1s/5s/5s.
+  - ⚠️ Ссылка называется `sites-enabled/zz-astra.ruzzy.dev.conf`, а не по имени домена: иначе она встала бы по алфавиту раньше `git` и перехватила ответ на неизвестный SNI. Новые vhost'ы на букву раньше `g` подключать с тем же расчётом.
+  - ⚠️ Секрет вебхука — часть URL. Для location выключен access log, а `error_log /var/log/nginx/marusia-webhook.error.log crit`: на уровне `error` nginx пишет туда строку запроса с секретом (502 при упавшем туннеле, срабатывание `limit_req`). Повышать уровень лога нельзя.
+- Сертификаты LE: `mon`, `git`, `share`, `www`, `astra` (с 2026-10-11, `certbot certonly --nginx`, продление тем же таймером). `cam.ruzzy.dev` удалён 2026-09-08 вместе с ipcam.
 
 ## Мониторинг (`~/monitoring`, stack в репо `stacks/monitoring/`)
 - Стек: **Prometheus + Grafana + node-exporter + cAdvisor + Alertmanager + Pushgateway** (docker compose).
@@ -253,7 +260,9 @@ backend=systemd  banaction=ufw
 - `~tgclaude/.openclaw-auth-profile-secrets` — права **777** на каталоге для секретов (сейчас пуст), стоит `chmod 700`.
 - Не решено, нужны ли на fr1: `~rus/backups` (5.4 ГБ архивов с выведенного de1) и спящий openclaw (947 МБ дерева + 2.0 ГБ состояния + образ-снимок 1.55 ГБ).
 - Страховочные файлы, оставленные после работ: `~rus/imgbot-repo-pre-merge-20260908-133444.tar.gz` (369 КБ), `~rus/imgbot-legacy-archive-rows-20260908.json` (808 КБ), `~rus/gitea/docker-compose.yml.bak-20260908`.
-- ⏳ Дроп-ин `/etc/ssh/sshd_config.d/50-cloud-init.conf` не читается из-под `rus` — под root проверить `sshd -T | grep -iE "permitrootlogin|passwordauth"`, чтобы знать эффективные значения, а не собранные из файлов вручную.
+- ⏳ **Вебхук Маруси не доведён** (2026-10-11): ключ туннеля от rpi ещё не положен в `~marusia-tunnel/.ssh/authorized_keys`, туннель не поднят. Пока POST на `astra.ruzzy.dev/marusia/webhook/…` отдаёт 502. Дальше: туннель, проверка цепочки, skill_id и проверка на настоящей колонке (`stacks/astra-marusia/README.md`).
+- Снимок `nginx -T`, `sshd -T`, `ss -lntp` до работ над вебхуком лежит в `~rus/marusia-audit/` (600). Скрипты `/tmp/marusia-stage{1,2,3}.sh` — одноразовые, удалить после завершения.
+- Если IP малины не в `ignoreip` fail2ban, ошибки авторизации туннеля при переподключении могут забанить её на 1 ч (jail `sshd`), а повторные баны (`recidive`) — на неделю.
 - ⚠️ Описания **других** серверов не сверялись: `servers/de1.md` и `servers/ru1.md` датируются временем до вывода de1, так что могут врать.
 
 ## Как это описание поддерживается

stacks/astra-marusia/README.md

@@ -22,12 +22,36 @@ StateDirectory. Не подключать этот сервис к админи
 Повтор webhook с теми же session_id/message_id получает кешированный ответ.
 Не более двух обращений к модели одновременно, не более 50 разговоров.
 
-Для завершения нужны: приватный навык в аккаунте VK владельца, его skill_id
+## Публичный вход на fr1 (с 2026-10-11)
-в env, публичный HTTPS URL с проксированием на rpi (например nginx на fr1
+
-и отдельный ограниченный SSH-туннель). Доступа SSH к fr1 у astra на rpi сейчас нет;
+Цепочка: VK → `https://astra.ruzzy.dev/marusia/webhook/<секрет>` → nginx на fr1 →
-ключ Gitea — не ключ сервера. Не открывать домашний порт в интернет напрямую.
+`127.0.0.1:18788` (обратный SSH-туннель, поднимает rpi) → rpi `127.0.0.1:8788/webhook/<секрет>`.
-На публичном прокси отключить access log webhook (секрет в URL), ограничить
+Домашние порты наружу не открыты, 18788 на fr1 слушает только loopback.
-размер тела 64 KiB, POST и частоту запросов; таймаут 5 секунд.
+
+- `fr1-nginx-astra.ruzzy.dev.conf` → `/etc/nginx/sites-available/astra.ruzzy.dev.conf`,
+  ссылка `sites-enabled/zz-astra.ruzzy.dev.conf`. ⚠️ Префикс `zz-` нужен: на :443 у fr1
+  нет `default_server`, и первый по алфавиту vhost отвечает на неизвестный SNI
+  (`ruzzy.dev`, `fr1.ruzzy.dev`) — без префикса им стал бы этот vhost вместо git.
+- `fr1-nginx-conf.d-marusia-webhook.conf` → `/etc/nginx/conf.d/marusia-webhook.conf`
+  (зона `limit_req` 1 r/s, burst 5, отказ — 429).
+- `fr1-sshd-70-marusia-tunnel.conf` → `/etc/ssh/sshd_config.d/70-marusia-tunnel.conf`;
+  плюс `marusia-tunnel` дописан в `AllowUsers` в `00-hardening.conf` — ⚠️ без этого
+  sshd пользователя молча не пустит («Permission denied» без причины на клиенте).
+- Пользователь fr1 `marusia-tunnel`: nologin, пароль заблокирован, групп нет;
+  `authorized_keys` принадлежит root, ключ с `restrict,port-forwarding,permitlisten="127.0.0.1:18788"`.
+- Отпечаток host-ключа fr1 (ED25519): `SHA256:M5J9nH+svyA3+beD7ZllUn1tayMMO2cxw/t3Z/kj6KU`.
+
+⚠️ Секрет — часть пути, поэтому на fr1 для этого location `access_log off`, а
+`error_log` отдельный и только `crit`: на уровне `error` nginx пишет строку запроса
+(с секретом) при 502 от упавшего туннеля и при срабатывании `limit_req`.
+Не поднимать уровень этого лога «для отладки» — секрет окажется на диске.
+По HTTP `/marusia/` отдаёт 404 без лога и без редиректа.
+
+Ожидаемые ответы до заполнения skill_id: GET → 403 (nginx), POST с неверным
+секретом → 404, с верным → 403 (сервис), туннель лежит → 502.
+
+Ключ Gitea — не ключ сервера; для туннеля отдельный ed25519 на rpi.
+Не открывать домашний порт в интернет напрямую.
 Регистрация/проверка: https://platform.vk.com/ и
 https://skill-tester.marusia.mail.ru/ (актуальность интерфейса проверить при входе).
 До заполнения skill_id все POST закрыты (403), знание случайного пути обязательно.

stacks/astra-marusia/fr1-nginx-astra.ruzzy.dev.conf

@@ -0,0 +1,56 @@
+# Публичный вход в разговорный сервис «Астра» для Маруси (stacks/astra-marusia).
+# Цепочка: VK → nginx → 127.0.0.1:18788 (обратный SSH-туннель от rpi, пользователь marusia-tunnel) → rpi 127.0.0.1:8788.
+# ⚠️ Секрет — часть пути. Поэтому в location нет access_log, а error_log только crit:
+# на уровне error nginx пишет строку запроса (с секретом) при 502/limit_req.
+server {
+    server_name astra.ruzzy.dev;
+    server_tokens off;
+
+    location ^~ /marusia/webhook/ {
+        access_log off;
+        error_log /var/log/nginx/marusia-webhook.error.log crit;
+
+        client_max_body_size 64k;
+        client_body_timeout 5s;
+
+        limit_except POST {
+            deny all;
+        }
+
+        limit_req zone=marusia_webhook burst=5 nodelay;
+        limit_req_status 429;
+
+        proxy_connect_timeout 1s;
+        proxy_send_timeout 5s;
+        proxy_read_timeout 5s;
+
+        # /marusia/webhook/<секрет> → /webhook/<секрет>
+        proxy_pass http://127.0.0.1:18788/webhook/;
+    }
+
+    location / {
+        return 404;
+    }
+
+    listen 443 ssl;
+    ssl_certificate /etc/letsencrypt/live/astra.ruzzy.dev/fullchain.pem;
+    ssl_certificate_key /etc/letsencrypt/live/astra.ruzzy.dev/privkey.pem;
+    include /etc/letsencrypt/options-ssl-nginx.conf;
+    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;
+}
+
+server {
+    listen 80;
+    server_name astra.ruzzy.dev;
+    server_tokens off;
+
+    # по HTTP секрет уже утёк в сеть; хотя бы не пишем его в лог и не редиректим
+    location ^~ /marusia/ {
+        access_log off;
+        return 404;
+    }
+
+    location / {
+        return 301 https://$host$request_uri;
+    }
+}

stacks/astra-marusia/fr1-nginx-conf.d-marusia-webhook.conf

@@ -0,0 +1,2 @@
+# Вебхук Маруси (vhost astra.ruzzy.dev): не более 1 запроса/с с адреса
+limit_req_zone $binary_remote_addr zone=marusia_webhook:1m rate=1r/s;

stacks/astra-marusia/fr1-sshd-70-marusia-tunnel.conf

@@ -0,0 +1,16 @@
+# Только удалённый проброс 127.0.0.1:18788 для туннеля Маруси с rpi (stacks/astra-marusia)
+Match User marusia-tunnel
+    AuthenticationMethods publickey
+    PasswordAuthentication no
+    KbdInteractiveAuthentication no
+    AllowTcpForwarding remote
+    PermitListen 127.0.0.1:18788
+    PermitOpen none
+    GatewayPorts no
+    AllowAgentForwarding no
+    AllowStreamLocalForwarding no
+    PermitTunnel no
+    X11Forwarding no
+    PermitTTY no
+    PermitUserRC no
+    MaxSessions 0

stacks/astra-marusia/nginx-location.example

@@ -1,12 +0,0 @@
-# Include inside the existing HTTPS server block on fr1 AFTER creating an SSH tunnel.
-# Reverse tunnel must bind only to fr1 127.0.0.1:18788 -> rpi 127.0.0.1:8788.
-# No public port 8788/18788; VK uses the existing HTTPS listener.
-location ^~ /marusia/webhook/ {
-    access_log off;
-    client_max_body_size 64k;
-    limit_except POST { deny all; }
-    proxy_connect_timeout 1s;
-    proxy_read_timeout 5s;
-    proxy_pass http://127.0.0.1:18788/webhook/;
-}
-# Add a limit_req zone in nginx http{} and apply its limit here before exposure.